1

Выполняю учебное задание по сетям. На одном из этапов должно происходить следующее:

  1. на компьютер №3 с компьютера №4 приходит пакет, отправленный на адрес, не представленный в сети (например, 123.123.123.123)
  2. на компьютере №3 происходит перенаправление принятого пакета на компьютеры №1 и №2 (то есть необходимо провести дублирование и подмену адреса назначения)

Пробовал делать следующим образом:

# дублируем все пакеты, предназначенные для 123.123.123.123, на компьютер №2
iptables -t mangle -A PREROUTING -d 123.123.123.123 -j TEE --gateway 6.6.1.1
# изменяем поле назначения непродублированных пакетов на адрес компьютера №1
iptables -t nat -A PREROUTING -d 123.123.123.123 -j DNAT --to-destination 6.6.0.1

До компьютера №1 пакеты доходят. Доходят пакеты (дублируются) и до компьютера №2 — но их поля назначения (destination) остаются неизменными (123.123.123.123)

Проблема в том, что не смог найти способа дублирования траффика с проставлением верных полей (в частности назначения)

1 ответ 1

0

Так вставь ДНАТ перед дублированием:

# изменяем поле назначения непродублированных пакетов на адрес компьютера №2
iptables -t nat -A PREROUTING -d 123.123.123.123 -j DNAT --to-destination 6.6.1.1
# дублируем все пакеты, предназначенные для 123.123.123.123, на компьютер №2
iptables -t mangle -A PREROUTING -d 123.123.123.123 -j TEE --gateway 6.6.1.1
# изменяем поле назначения непродублированных пакетов на адрес компьютера №1
iptables -t nat -A PREROUTING -d 123.123.123.123 -j DNAT --to-destination 6.6.0.1
6
  • Спасибо. Действительно, мог бы догадаться. Но теперь почему-то компьютер №3 подменяет порт пакетов с компьютера, на который производилось дублирование, при отсылке их на клиент (компьютер №1). Причём на компьютере №3 не стоят никакие фильтры, которые могли бы это сделать. Всё тестирование производится при помощи netcat. Можете подсказать, в чём могла бы быть проблема?
    – 111
    15 мая 2017 в 18:53
  • А в этом виноват скорее всего контрак. Добавь правило notrack в прероутинг или отключи контрак - проверь, я не уверен, но вроде больше нечему
    – eri
    16 мая 2017 в 18:06
  • Да, это помогло. Спасибо
    – 111
    17 мая 2017 в 18:24
  • 1. А разве не только одно DNAT-правило (первое) будет применено? 2. Дублирование трафика с помощью Mangle точно применимо к разным подсетям (123.123.123.xxx & 6.6.6.y)? К примеру, у меня трафик не дублируется (согласно pcap-файлу)
    – Worker
    10 мар 2019 в 16:33
  • @Worker возможно ответ не точен
    – eri
    10 мар 2019 в 23:04

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.